サンプル
<?php
//////
// OSインジェクションテスト 失敗例
//
//変数
$asql_dbName = './mydb_bbs.db > testFile1';
$asql_sqlStr = 'SELECT * FROM mydb1 > testFile2';
//SQLite実行
$data = asql_getResult_sqlite($asql_dbName,$asql_sqlStr);
//結果表示
echo ($data );
function asql_getResult_sqlite($asql_dbName,$asql_sqlStr)
{
$sql = "sqlite -list -separator ',' $asql_dbName $asql_sqlStr";
return `$sql`;
}
?>
とりあえず、これを防ぐには、各変数をクオートで括るのが有効です。
$sql = "sqlite -list -separator ',' '$asql_dbName' '$asql_sqlStr'";しかし、PHPには、もっと有効な シェル引数として使用される文字列をエスケープしてくれるescapeshellarg()とescapeshellcmd()関数があるので、これを利用してみます。 ただし、escapeshellcmd()は、SQL文に使うとSQL文ではなくなってしまうので$asql_dbNameだけに適用します。
<?php
//////
// OSインジェクションテスト
//
//変数
$asql_dbName = './mydb_bbs.db > testFile1';
$asql_sqlStr = 'SELECT * FROM mydb1 > testFile2';
//SQLite実行
$data = asql_getResult_sqlite($asql_dbName,$asql_sqlStr);
//結果表示
echo ($data );
function asql_getResult_sqlite($asql_dbName,$asql_sqlStr)
{
//OSインジェクション用エスケープ
$asql_dbName = escapeshellarg($asql_dbName);
$asql_dbName = escapeshellcmd($asql_dbName);
$asql_sqlStr = escapeshellarg($asql_sqlStr);
$sql = "sqlite -list -separator ',' $asql_dbName $asql_sqlStr";
return `$sql`;
}
?>
この結果、 $sqlの中身は、下記のようになりシェルコマンドは実行されません。
sqlite -list -separator ',' './mydb_bbs.db \> testFile1' 'SELECT * FROM mydb1 > testFile2'しかし、ここで、もし、$asql_dbName と $asql_sqlStrをクオートすると、どうなるでしょう？
sqlite -list -separator ',' ''./mydb_bbs.db \> testFile1'' ''SELECT * FROM mydb1 > testFile2''このようになってtestFile2だけは作成されてしまいます。というわけで、現在は、$asql_dbName にescapeshellarg()、escapeshellcmd() 、$asql_sqlStrにescapeshellarg()を適用し、$asql_dbName と $asql_sqlStrをクオートしないというパターンを使っています。
$asql_dbName = str_replace('`', '%60', $asql_dbName);
$asql_sqlStr = str_replace('`', '%60', $asql_sqlStr);
sqlite -list -separator ',' '../../../mydb_bbs.db \; \> testFile1' 'SELECT * FROM mydb1 LIMIT 5 ; > testFile2'
$asql_sqlStr = "SELECT * FROM mydb1 LIMIT 5 ;INSERT INTO mydb1 VALUES( Null ,'select_200_2_0_s', '' ,'' ,'', '')";AjaSQLの応答速度は、単文接続使い捨てでも充分に使えるレベルだと思いますし、、、。
// for SQLite
function asql_getresult_sqlite($asql_dbName,$asql_sqlStr)
{
//バッククオート等とりあえずエスケープ、、、うう、、、
//SQL演算子が使えなくなるので、まじめにSQLパースしてみるべきか、、、
$asql_dbName = str_replace('>', '%3E', $asql_dbName);
$asql_sqlStr = str_replace('>', '%3E', $asql_sqlStr);
$asql_dbName = str_replace('|', '%7C', $asql_dbName);
$asql_sqlStr = str_replace('|', '%7C', $asql_sqlStr);
$asql_dbName = str_replace('&', '%26', $asql_dbName);
$asql_sqlStr = str_replace('&', '%26', $asql_sqlStr);
$asql_dbName = str_replace('`', '%60', $asql_dbName);
$asql_sqlStr = str_replace('`', '%60', $asql_sqlStr);
//特殊文字除去 複文やOSインジェクション禁止(;以降に何があっても無視)
$asql_sqlStr_esc_chars = split(";",$asql_sqlStr);
$asql_sqlStr_esc_char = $asql_sqlStr_esc_chars[0];
//SQLインジェクション用エスケープ 不要かも
$asql_sqlStr_esc_char_sql = sqlite_escape_string($asql_sqlStr_esc_char);
//OSインジェクション用エスケープ
$asql_dbName_esc_os = escapeshellarg($asql_dbName);
$asql_dbName_esc_os = escapeshellcmd($asql_dbName_esc_os);
$asql_sqlStr_esc_char_sql_os = escapeshellarg($asql_sqlStr_esc_char_sql);
//$asql_sqlStr_esc_char_sql_os = escapeshellcmd($asql_sqlStr_esc_char_sql_os);
return `sqlite -list -separator "," $asql_dbName_esc_os $asql_sqlStr_esc_char_sql_os `;
}
// for MySQL
function asql_getResult_mysql($asql_dbName,$asql_sqlStr)
{
//中断中
}